CVE-2026-112207
WysokieCVSS 7.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 11 - wyżej niż 11% wszystkich znanych CVE
Streszczenie
Wtyczka WordPress Download Monitor przed wersją 5.3.4 nie sprawdza poprawnie, czy kliknięty link należy do witryny, zanim pobierze go po stronie klienta i wyrenderuje część odpowiedzi na stronie. Umożliwia to nieuwierzytelnionym atakującym wykonanie dowolnego JavaScriptu w przeglądarce użytkownika nakłonionego do kliknięcia spreparowanego linku.
Ocena ryzyka
Atakujący może wykonać złośliwy kod JavaScript w przeglądarce ofiary, co może prowadzić do kradzieży sesji, danych lub wykonywania działań w imieniu użytkownika.
Rekomendacja
Zaktualizuj wtyczkę Download Monitor do wersji 5.3.4 lub nowszej. Poinformuj użytkowników o ryzyku klikania nieznanych linków.
Inne podatności w Download Monitor WordPress plugin
Zobacz wszystkie- CVE-2026-112219Średnie
Wtyczka WordPress Download Monitor przed wersją 5.3.5 nieprawidłowo ogranicza zarządzanie listą lokalizacji systemu plików, z których może serwować pliki, do administratorów sieci w trybie multisite. Administrator podstrony może zatwierdzić dowolne lokalizacje, co pozwala wtyczce serwować nieuwierzytelnionym odwiedzającym czytelne pliki spoza katalogu uploads, w tym pliki należące do innych podstron. Instalacje single-site nie są dotknięte.
- CVE-2026-16608Średnie
Wtyczka Download Monitor dla WordPressa przed wersją 5.2.6 nie przeprowadza kontroli autoryzacji na jednej z akcji AJAX dotyczących logowania pobrań i udostępnia nonce chroniące tę akcję nieuwierzytelnionym odwiedzającym. Umożliwia to nieuwierzytelnionym użytkownikom wstrzykiwanie dowolnych wpisów do logu pobrań i zawyżanie statystyk pobrań witryny.
Oryginalny opis (angielski, źródło NVD)
The Download Monitor WordPress plugin before 5.3.4 does not properly validate that a clicked link belongs to the site before fetching it client-side and rendering part of the response in the page, which allows unauthenticated attackers to execute arbitrary JavaScript in the browser of any user who is tricked into clicking a crafted link.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS